MacKeeper優化工具資料庫有漏洞，1300萬筆用戶帳密資料全都露

安全研究人員Chris Vickery在網路上以一個另類搜尋引擎服務Shodan進行隨機搜尋時，意外發現了Mac系統優化工具MacKeeper的資料庫，內含1300萬名的MacKeeper客戶資料，包括使用名稱及密碼等，而MacKeeper母公司Kromtech則緊急修補了相關漏洞。

Vickery本周一（12/14）透過Reddit詢問Kromtech的聯繫窗口並揭露了此事。Vickery說明，他以Shodan進行搜尋時，發現了4個屬於Kromtech的IP，而且允許他公開存取其MongoDB資料庫，於是他便下載了含有1300萬個MacKeeper帳號資料的檔案。Vickery並非Mac用戶，以前也從沒聽過MacKeeper或Kromtech。

Kromtech當天即公開回應此事，表示已得知可存取資料儲存系統的潛在漏洞，並感謝Chris Vickery沒有對外公布任何技術資訊，也已緊急修補相關漏洞。

Kromtech針對儲存系統進行分析，發現除了Vickery之外，並沒有其他人存取該系統。該系統儲存了使用者姓名、產品訂單、授權資訊、IP位址、客戶帳號名稱與加密密碼等，並未儲存使用者的信用卡或付費資訊。

資安業者本身未作好安全的防護讓Kromtech臉上無光，Kromtech承諾要進行全面的內部檢討以確定此一意外的規模及部署其他必要的安全措施。

MacKeeper為專為Mac OS X所設計的公用軟體，主要用來保護及最佳化Mac系統，但該產品的行銷手法經常遭到批評，例如詆毀競爭對手、製造假評論或有一堆的彈出式廣告等。至於Shodan則是一可用來搜尋網路裝置的搜尋引擎，Vickery說他只是以port:27017為關鍵字進行搜尋就找到了Kromtech的資料庫。

今年2月，德國薩爾蘭（Saarland）大學的安全研究人員也曾利用Shodan找到網路上的4萬個基於Port 27017的MongoDB資料庫，Port 27017的預設值是開放的，代表任何人很容易就能存取這些外洩的資料庫，致力於隱私保護的Office of Inadequate Security指出，一直到本周末，網路上還是能搜尋到3.6萬個開放的資料庫。